Wireguard + DHCP-Server auf Raspberry um einzelnem Gerät im Heimnetz statische IP eines VServers zu geben

Hallo zusammen!

Ich habe gesehen, dass es hier schon ähnliche Beiträge gab. Allerdings nie genau mein Problem und auch nie mit zufriedenstellender Lösung. Dennoch sind mir die gegebenen Antworten beim stöbern positiv aufgefallen. Das hat mich dazu gebracht mich hier anzumelden.

Folgendes Problem:

Ziel der Aktion ist es, einem einzelnen Gerät eine statische IP zu verpassen. Die statische IP steht mir in Form eines VServers zur Verfügung.
Port123 des Gerätes soll unter feste-ip:port123 vom Internet aus erreichbar sein. Selbst soll das Gerät unter Verwendung der statischen IP des VServers frei nach außen kommunizieren können.

Das Netzwerk besteht aus einer FritzBox mit DSL von 1&1. Ein Raspberry dient als DHCP-Server, der Adressen dynamisch vergibt, dem betroffenen Gerät aber immer die Adresse 192.168.178.89 und das Gateway 192.168.178.240 (Raspberry) zuweist. Andere Geräte erhalten das Standardgateway der FritzBox. Auf dem Raspberry und dem VServer läuft Wireguard um die VPN-Verbindung herzustellen.
Ich habe jetzt echt lange an den Wireguard-Konfigurationen herumgebastelt, viele Ideen von verschiedenen Seiten mit einfließen lassen und viel Kaffee getrunken. So richtig laufen will das einfach nicht.

Im folgenden mal die Config von Wireguard auf beiden Seiten, fällt da vielleicht jemanden ein Fehler auf?
Schonmal sorry falls ich bei der Problembeschreibung was vergessen habe. Ich starre seit 2 Tagen auf diese Zeilen und sehe den Wald vor lauter Tränen nicht mehr.

Mit dem Gerät selbst kann ich die Funktion nur sehr Zeitversetzt testen, so dass ich mir zum testen folgendes überlegt habe: auf einem anderen Gerät läuft ein simpler Web-Server unter Port123. Testweise weise ich diesem die IP 192. ... .89 zu und probiere den webserver über feste-ip:port123 vom internet zu erreichen. Hab ich da villt schon einen Denkfehler?

Raspberry, rakwg2.conf:

[Interface]
PrivateKey = cK8...FVA=
Address = 192.168.69.2
DNS = 1.1.1.1
MTU = 1420
Listenport = 34567
PostUp = iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1240
PostUp = iptables -A FORWARD -i eth0 -j ACCEPT; iptables -t nat -A POSTROUTING -o rakwg2 -j MASQUERADE
PostUp = iptables -A FORWARD -i rakwg2 -o eth0 -p tcp --syn --dport 44158 -m conntrack --ctstate NEW -j ACCEPT
PostUp = iptables -A FORWARD -i rakwg2 -o eth0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
PostUp = iptables -t nat -A PREROUTING -i rakwg2 -p tcp --dport 44158 -j DNAT --to-destination 192.168.178.89

PostDown = iptables -D FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1240
PostDown = iptables -D FORWARD -i eth0 -j ACCEPT; iptables -t nat -D POSTROUTING -o rakwg2 -j MASQUERADE
PostDown = iptables -D FORWARD -i rakwg2 -o eth0 -p tcp --syn --dport 44158 -m conntrack --ctstate NEW -j ACCEPT
PostDown = iptables -D FORWARD -i rakwg2 -o eth0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
PostDown = iptables -t nat -D PREROUTING -i rakwg2 -p tcp --dport 44158 -j DNAT --to-destination 192.168.178.89

[Peer]
PublicKey = z1G....QM=
AllowedIPs = 0.0.0.0/0
Endpoint = VServer-IP:34567
PersistentKeepalive = 16

VServer, rakwg2.conf:

[Interface]
Address = 192.168.69.1
PrivateKey = EB...1Us=
ListenPort = 34567
MTU = 1420
PostUp = iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1240
PostUp = iptables -A FORWARD -i rakwg2 -j ACCEPT; iptables -t nat -A POSTROUTING -o ens192 -j MASQUERADE
PostUp = iptables -A FORWARD -i ens192 -o rakwg2 -p tcp --syn --dport 44158 -m conntrack --ctstate NEW -j ACCEPT
PostUp = iptables -A FORWARD -i ens192 -o rakwg2 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
PostUp = iptables -t nat -A PREROUTING -i ens192 -p tcp --dport 44158 -j DNAT --to-destination 192.168.69.2

PostDown = iptables -D FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1240
PostDown = iptables -D FORWARD -i rakwg2 -j ACCEPT; iptables -t nat -D POSTROUTING -o ens192 -j MASQUERADE
PostDown = iptables -D FORWARD -i ens192 -o rakwg2 -p tcp --syn --dport 44158 -m conntrack --ctstate NEW -j ACCEPT
PostDown = iptables -D FORWARD -i ens192 -o rakwg2 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
PostDown = iptables -t nat -D PREROUTING -i ens192 -p tcp --dport 44158 -j DNAT --to-destination 192.168.69.2


[Peer]
PublicKey = R...ThI=
AllowedIPs = 192.168.69.2/32
Endpoint = 0.0.0.0:34567

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 2549620326

Url: https://administrator.de/forum/wireguard-dhcp-server-auf-raspberry-um-einzelnem-geraet-im-heimnetz-statische-ip-eines-vservers-zu-geben-2549620326.html

Ausgedruckt am: 30.04.2025 um 22:04 Uhr

3 Kommentare

Neuester Kommentar

Hallo,

ein Gewerbe für deinen privaten Helium Miner hast Du schon angemeldet? Oder möchtest Du erst einmal Steuern hinterziehen und warten, bis Du erwischt wirst?

Übrigens - genau dieses Szenario wurde hier schon dreimal durchgekaut. Warum liest Du nicht die bestehenden Beiträge durch?

Gruß,
Jörg

Wow, ich hab mich für dieses Forum entschieden weil ich bis jetzt beim durchforsten bis jetzt keine derartigen Beiträge gesehen hab. Danke für nichts

Warum sollte ich Steuern hinterziehen wollen? Das wär ja blöd. Machst du das etwa?

Naja zurück zum Thema.
Wie gesagt, ich hab einige ähnliche Beiträge gelesen aber eben keinen gefunden, der meine Frage spezifisch beantwortet. Ich will ja nicht nur dass es läuft, sondern auch verstehen warum es das aktuell nicht tut.
Wenn ich drei Stück übersehen habe, kannst du sie mir ja zeigen. Ich würd mich freuen!

Z.B. das Wireguard Tutorial. Da steht alles drin was du wissen muss und erklärt dir auch warum die iptables Kommandos überflüssig sind.
Es klingt alles etwas wirr, denn wozu braucht man einen (überflüssigen) extra DHCP Server der nur einem einzigen Gerät im Netz eine Mac Adress basierte IP vergibt wo auch die FritzBox mit einem simplen Mausklick sowas kann ?!
Wozu Gateway wenn man eine statische Route auf der FritzBox nutzen kann ?

Port123 des Gerätes soll unter feste-ip:port123

Geht ja im einfachsten Fall direkt per Port Weiterleitung auf der FritzBox mit einer DynDNS Adresse von z.B. myfritz.de ?
Alles so ungeklärte Fragen und eine völlig wirre Konfig die noch mehr Fragen aufwirft...